Für Organisationen, die geprüft werden
Microsoft 365, das eine Prüfung übersteht und Copilot verträgt.
Die Geschäftsleitung will KI, die Revision will Belege, und der Tenant ist über Jahre gewachsen. Wir prüfen ihn lesend, zeigen Ihnen danach jeden Monat, ob er auf Soll bleibt, und setzen die Maßnahmen selbst um. Wer prüft, baut auch um und schult Ihre Admins.
Anlässe
Meistens beginnt es mit einem dieser Sätze
„Copilot ist bestellt. Aber niemand kann sagen, welche alten Freigaben er unseren Leuten plötzlich zeigt.“
Geschäftsleitung und IT vor dem Rollout„Die Prüfung ist angekündigt. Unser letzter Nachweis ist ein Stapel Screenshots vom Vorjahr.“
Informationssicherheit vor dem Audit„Drei Dienstleister haben am Tenant gearbeitet. Dokumentiert hat es keiner.“
IT-Leitung nach Wechseln„NIS2 betrifft uns. Aber was heißt das konkret für Microsoft 365?“
Versorger und Einrichtungen im GesundheitswesenVier Stufen
Klein einsteigen, dann belegen, dann umbauen
Jede Stufe ist einzeln beauftragbar und zum Festpreis. Sie entscheiden nach jedem Schritt, ob und wie es weitergeht.
-
1
Prüf-Check
Wir prüfen Identitäten und Rollen, Conditional Access, Geräte, Freigaben und Gäste, Mail und Audit-Protokollierung, rein lesend und per Skript. Ergebnis: Lagebild je Bereich, Befunde nach Risiko sortiert, ein Maßnahmenplan für 90 Tage und eine eindeutige Copilot-Ampel. Grundlage ist die Datenschutz- und Konformitätsprüfung, ergänzt um die Prüfpunkte aus dem CIS-Assessment.
-
2
Monatliches Lagebild
Dieselben Prüfpunkte laufen jeden Monat erneut. Sie sehen, was sich verbessert hat und was seit dem letzten Lauf neu aufgegangen ist: ein zusätzlicher globaler Admin, eine neue App mit weitreichenden Rechten, eine Freigabe für jeden mit dem Link. Für Revision und Aufsicht entsteht ein Verlauf statt eines Schnappschusses.
-
3
Umsetzung in Sprints
Wir setzen die Befunde selbst um, jeweils mit gesichertem Ist-Zustand, Pilot und Rückweg: Härtung von Entra ID, Conditional Access und Defender, die Copilot-Bereitschaft oder die Mail-Sicherheit bis DMARC p=reject.
-
4
Betrieb
Auf Wunsch halten wir den Tenant danach auf Soll, im Managed Service oder als Rückendeckung für Ihr eigenes Team. Oder wir übergeben sauber: Als Microsoft Certified Trainer schulen wir Ihre Admins an der eigenen Umgebung.
Unsicher, wo Sie einsteigen? Fast immer beim Prüf-Check. Er ist klein, rein lesend und liefert die Grundlage für alles Weitere. Jetzt Festpreis anfragen
Das monatliche Lagebild
Geprüft nach öffentlichen Massstäben, nicht nach einer Black Box
Wie gut ein Nachweis ist, hängt davon ab, wogegen gemessen wird. Wir messen gegen offen dokumentierte Vorgaben und mit Werkzeugen, die Sie selbst nachvollziehen können. Unser Teil ist die verständliche Auswertung auf Deutsch und das Gespräch darüber.
- Vorgaben: CIS Microsoft 365 Foundations Benchmark, die M365-Baselines der US-Behörde CISA (SCuBA), Empfehlungen von Microsoft und, wo gefordert, BSI IT-Grundschutz
- Werkzeuge: offene Prüfframeworks wie Maester und ScubaGear, Microsoft Secure Score sowie Abfragen über Microsoft Graph und Exchange Online PowerShell
- Jeder Lauf mit Zeitstempel und Rohdaten, die bei Ihnen bleiben
- Abweichungen zum Vormonat ausdrücklich benannt, nicht nur ein neuer Punktwert
- eine Stunde Rücksprache im Monat: Was ist neu, was ist dringend, was kann warten
Copilot-Bereitschaft
Copilot findet, was Ihre Leute sehen dürfen. Auch das, was niemand mehr wusste.
Microsoft 365 Copilot hält sich an bestehende Berechtigungen. Das ist gut, solange diese Berechtigungen stimmen. In gewachsenen Tenants tun sie das selten. Deshalb räumen wir vor dem Rollout auf, nicht danach.
Überfreigaben finden
Links für „jeden“, Sites für die ganze Organisation, verwaiste Teams, Gäste ohne Ablauf. Wir zeigen, wo vertrauliche Inhalte zu breit sichtbar sind, und bereinigen es mit den Verantwortlichen.
Schützen, was schutzbedürftig ist
Vertraulichkeitsbezeichnungen mit Microsoft Purview, wo Ihre Lizenzen das hergeben, dazu gezielte Ausschlüsse von Inhalten. So schlank, dass der Alltag weiterläuft.
Pilot, Regeln, Schulung
Ein Pilot mit einer überschaubaren Gruppe, eine kurze Nutzungsrichtlinie und eine Schulung für Anwender und Admins. Erst dann der breite Rollout. Mehr dazu unter KI-Richtlinien.
Der Copilot-Sprint im Detail Copilot-Bereitschaft prüfen lassen
Für wen
Wo Nachweise Pflicht sind und die IT klein ist
Wir arbeiten vor allem für Organisationen mit Prüfpflichten, aber ohne eigenes Security-Team für Microsoft 365.
Kliniken, Pflege, Gesundheitswesen
Informationssicherheit im Krankenhaus, NIS2, Datenschutz für Gesundheitsdaten und Mitbestimmung. Microsoft 365 so, dass der Betrieb weiterläuft.
GesundheitswesenStadtwerke und Versorger
NIS2 und, je nach Größe, KRITIS-Pflichten treffen auf eine IT, die nebenbei auch Microsoft 365 betreut. Wir übersetzen die Anforderungen in konkrete Einstellungen.
Zur BranchenseiteKommunen und Verwaltung
BSI IT-Grundschutz als Referenz, Personalrat und Datenschutz am Tisch. Mit Nachweisen, die sich im nächsten Jahr Punkt für Punkt vergleichen lassen.
Der Unterschied
Ein Kopf, der prüft, umsetzt und übergibt
Häufig
- Das Erstgespräch führt der Vertrieb, die Arbeit macht später jemand anderes
- Der Bericht endet mit Empfehlungen, die Umsetzung ist ein neues Projekt
- Die Prüfung läuft mit einem Werkzeug, das Sie nicht einsehen können
- Nach dem Projekt bleibt eine Abhängigkeit
Bei uns
- Sie sprechen von Anfang an mit dem, der prüft und umsetzt
- Befund, Maßnahme und Umsetzung aus einer Hand, jeweils mit Rückweg
- Offene Vorgaben und Werkzeuge, Rohdaten bei Ihnen
- Ihre Admins werden geschult und können danach selbst weiterarbeiten
Weiterlesen
Passende Artikel
Häufige Fragen
Fragen zu Prüf-Check und Lagebild
Fallen wir unter NIS2?
Das hängt von Sektor, Größe und Umsatz ab und ist eine rechtliche Einordnung, die Ihre Compliance-Stelle oder Rechtsberatung treffen sollte. Unser Teil beginnt danach: Wir übersetzen die Anforderungen an Zugriffsschutz, Protokollierung und Vorfallbehandlung in konkrete Einstellungen in Microsoft 365 und belegen sie.
Verändern Sie beim Prüf-Check etwas im Tenant?
Nein. Prüf-Check und monatliches Lagebild laufen mit lesenden Rollen wie Global Reader und Security Reader. Änderungen gibt es nur in einem Umsetzungs-Sprint, den Sie freigeben, mit gesichertem Ist-Zustand und Rückweg.
Brauchen wir E5-Lizenzen?
Nein. Wir prüfen mit dem, was Sie haben, und benennen, wo eine Lizenz tatsächlich eine Lücke schließen würde. Manche Organisationen bezahlen Funktionen, die sie nie eingeschaltet haben. Auch das steht im Bericht.
Sehen Sie Mails, Chats oder Dokumente?
Nein. Wir prüfen Konfigurationen, Rollen, Richtlinien und Metadaten wie Freigabeeinstellungen. Auf Inhalte von Postfächern, Chats oder Dokumenten greifen wir nicht zu.
Können wir Copilot auch ohne Purview einführen?
Ja, wenn die Berechtigungen stimmen. Der wichtigste Schritt ist fast immer das Aufräumen von Freigaben, Gruppen und Gastzugriffen. Vertraulichkeitsbezeichnungen sind eine zusätzliche Sicherung, wo Ihre Lizenzen sie enthalten.
Wie lange läuft das monatliche Lagebild?
Wir stimmen die Laufzeit auf Ihren Prüfzyklus ab, etwa bis zum nächsten Audit oder für ein Geschäftsjahr. Die Rohdaten aller Läufe gehören Ihnen, auch wenn Sie später selbst weitermachen.
Wo steht Ihr Tenant heute?
In 30 Minuten klären wir Anlass, Größe, Lizenzen und Prüftermine. Danach wissen Sie, ob ein Prüf-Check reicht oder ob ein Sprint sinnvoll ist.